Я хочу, чтобы мой веб-сервер говорил с сервером базы данных MySQL через соединение SSL. На веб-сервере работает CentOS5, на сервере базы данных работает FreeBSD. Сертификаты предоставляются промежуточным центром сертификации DigiCert.
MySQL должен использовать ssl, в соответствии с my.cnf:
# The MySQL server
[mysqld]
port = 3306
socket = /tmp/mysql.sock
ssl
ssl-capath = /opt/mysql/pki/CA
ssl-cert = /opt/mysql/pki/server-cert.pem
ssl-key = /opt/mysql/pki/server-key.pem
Когда я запускаю MySQL, демон запускается без ошибок. Это говорит о том, что все файлы сертификатов доступны для чтения.
Но когда я пытаюсь подключиться с веб-сервера к серверу базы данных, я получаю сообщение об ошибке:
[root@webserver ~]# mysql -h mysql.example.org -u user -p
ERROR 2026 (HY000): SSL connection error
И если я попытаюсь отлаживать дальше с openssl:
[root@webserver ~]# openssl s_client -connect mysql.example.org:3306 0>/dev/null
CONNECTED(00000003)
15706:error:140770FC:SSL routines:SSL23_GET_SERVER_HELLO:unknown protocol:s23_clnt.c:588:
Это правильный способ проверить SSL-соединение с сервером базы данных MySQL? Это SSL23_GET_SERVER_HELLO:unknown protocolстранное сообщение, так как это обычно происходит, если вы говорите по SSL на порте, предназначенном для трафика без SSL.
Эта же команда openssl, похоже, отлично работает с серверами LDAP и HTTP:
$ openssl s_client -connect ldap.example.org:636 0>/dev/null
CONNECTED(00000003)
depth=2 /C=US/O=The Go Daddy Group, Inc./OU=Go Daddy Class 2 Certification Authority
...
$ openssl s_client -connect www.example.org:443 0>/dev/null
CONNECTED(00000003)
depth=0 /DC=org/DC=example/OU=Services/CN=www.example.org